O provedor de internet pode rastrear os sites que você visita?

=======.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____--------------______---------   -----------____---.=.=.=.= ====


Tira-dúvidas comenta questões técnicas e legais sobre rastreamento de navegação.  
===+===.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____-------------______---------   ----------____---.=.=.=.= +====

Por Altieres Rohr
É fundador de um site especializado na defesa contra ataques cibernéticos
19/11/2020 07h00 Atualizado há 3 dias
Postado em 22 de novembro de 2020 às 12h35m

  *.- Post.N. -\- 3.884 -.*  

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados etc.), envie um e-mail para g1seguranca@globomail.com. A coluna responde perguntas deixadas por leitores às terças e quintas-feiras.

Marco Civil proíbe que provedores armazenem dados de navegação dos usuários. — Foto: Mario Alberto Magallanes Trejo/FreeImages

Estou suspeitando que meu provedor de internet acompanha o histórico de navegação da minha casa. Isso é possível? – Paulo

É "possível", Paulo, mas há limitações técnicas, dificuldades e até ilegalidades, dependendo das circunstâncias.

Do lado jurídico, o Marco Civil da Internet (Lei 12.965/2014) estabelece que não é permitido registrar acessos a aplicações (sites) na provisão de acesso à internet.

Mas você precisa ter cuidado com serviços adicionais oferecidos pelos provedores – isso inclui apps ou programas instalados no seu computador.

Esses serviços não fazem parte do "acesso à internet" e podem ter suas próprias regras. Porém, qualquer coleta de dados deve ser prevista em contrato.

Do ponto de vista técnico, o provedor poderia registrar o endereço de domínio dos sites que você visita, mas as páginas específicas acessadas em geral não ficam visíveis na conexão.

Por exemplo: o provedor poderia saber que você visitou o G1 ("g1.globo.com"), mas não que você está lendo este texto.

De modo geral, o provedor só vai registrar a atividade dos seus usuários após receber uma ordem judicial (para monitorar um investigado, por exemplo).

Fora disso, se você achar que está sendo monitorado e tem alguma prova concreta disso, é conveniente abrir uma reclamação no Procon ou procurar o auxílio de um advogado.

Marco Civil da Internet proíbe registro

O artigo 14 da lei afirma que "na provisão de conexão, onerosa ou gratuita, é vedado guardar os registros de acesso a aplicações de internet".

Pela definição dada no texto da própria lei, "aplicações de internet" são os sites e serviços utilizados. Dessa forma, o provedor é legalmente proibido de registrar essas informações como parte da prestação de serviços de conexão.

Perceba, porém, que a proibição vale apenas para o para a "provisão de conexão". Muitos provedores oferecem pacotes ou cestas com diversos serviços que não são apenas de conexão. Se a coleta de dados for realizada a partir de um desses outros serviços, a questão jurídica já fica mais complicada.

É sempre importante conferir o contrato de serviços, mas é ainda mais importante fazer isso quando você for contratar outros serviços.

Agora que a Lei Geral de Proteção de Dados (LGPD) também está em vigor, é obrigatório obter o consentimento do consumidor antes de coletar qualquer informação, então tudo precisa estar no contrato.

• SAIBA MAIS: O roteador de internet pode registrar os sites visitados?

Por que parte do endereço dos sites fica visível?

A maioria dos sites é acessada por meio do HTTPS (HTTP seguro), que usa criptografia para garantir a privacidade da conexão.

O HTTPS oculta o endereço completo da página visitada, de modo que apenas o nome de domínio ("g1.globo.com" ou "g1.com.br") seja visível para os intermediários da conexão, como o provedor.

Mas a ideia de capturar a navegação bisbilhotando o HTTP (com ou sem segurança) é complicada: pode ser caro realizar análise de tráfego em grandes volumes de dados para extrair essa informação.

De acordo com o Google, 87% do tráfego web no Brasil é criptografado com HTTPS, então uma grande parcela dos endereços ficaria inacessível se o rastreamento fosse realizado por essa via. Além disso, seria completamente ilegal.

É por isso que um provedor teria mais facilidade, tecnicamente falando, para realizar a coleta de dados por DNS. O DNS funciona como um "102" ou "lista telefônica" da internet, permitindo converter os "nomes" (como g1.com.br) em números (endereços de IP).

Esse serviço sempre precisa ser consultado quando você acessa um site pela primeira vez, já que a internet precisa do endereço de IP para realizar a conexão.

A não ser que você tenha personalizado a configuração de DNS, o serviço que você usa é mantido pelo seu provedor. Sendo assim, o provedor pode enxergar essas consultas e saber quais sites você está visitando. E ele não precisa realizar nenhuma análise de tráfego.

Porém, o DNS também informa apenas o nome de domínio (como "g1.com.br") e não a página específica que você está visitando.

Infelizmente, o Marco Civil da Internet não especifica se o DNS faz parte da "provisão de acesso". Na opinião deste blog, o DNS do provedor é parte integral da prestação de serviços de internet e, portanto, não deve ser permitido monitorá-lo, nem mesmo com previsão contratual para isso.

Contudo, a discussão legal permanecerá aberta até que a Justiça se manifeste. De uma forma ou de outra, o provedor deve informar contratualmente qualquer monitoramento ou alteração no DNS.

Alguns navegadores já utilizam uma tecnologia chamada DNS over HTTPS (DNS sobre HTTPS, DoH), que criptografa as solicitações de DNS e esconde esse tráfego de qualquer análise do provedor.

No Firefox, o DoH pode ser ativado em Opções > Geral > Configurar conexão... (opção no fim da página) > Ativar DNS sobre HTTPS. Essa opção é especialmente útil se você costuma utilizar redes Wi-Fi públicas.

Configuração de DNS sobre HTTPS no Firefox. — Foto: Reprodução

Cuidado com aplicativos

Caso o provedor exija a instalação de programas ou aplicativos em seu celular, é possível que esses programas coletem informações a partir do seu próprio dispositivo.

Nesse caso, nem sempre haverá limite técnico para o que pode ser coletado.

Os limites jurídicos, porém, ainda valem. No Brasil, é obrigatório que os provedores informem quais dados serão coletados e como eles serão usados.

Em países com regimes autoritários, não é incomum que toda e qualquer medida técnica viável seja utilizada para registrar a navegação dos usuários. É por isso que o blog já comentou sobre a utilidade dos serviços de VPN ao viajar para o exterior.

Dúvidas sobre segurança digital? Envie um e-mail para g1seguranca@globomail.com

------++-====-----------------------------------------------------------------------=================---------------------------------------------------------------------------------====-++------

Microsoft anuncia integração do processador seguro 'Pluton' com produtos Intel, AMD e Qualcomm

=======.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____--------------______---------   -----------____---.=.=.=.= ====


Tecnologia foi desenvolvida para console Xbox One e tem potencial para renovar opções de segurança dos PCs e notebooks com Windows.  
===+===.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____-------------______---------   ----------____---.=.=.=.= +====

Por Altieres Rohr
É fundador de um site especializado na defesa contra ataques cibernéticos
20/11/2020 10h47 Atualizado há 3 horas
Postado em 20 de novembro de 2020 às 13h50m

  *.- Post.N. -\- 3.883 -.*  

Em parceria com Intel, AMD e Qualcomm, Microsoft pretende embutir processador de segurança em CPUs para computadores e notebooks. — Foto: Ted S. Warren/AP Photo/Arquivo

A Microsoft anunciou o lançamento do Pluton, um módulo de segurança que deverá se tornar parte integrante dos computadores e notebooks vendidos com Windows 10.

Para viabilizar a presença o Pluton, a Microsoft firmou uma parceria com as principais fabricantes de processadores – Intel, AMD e Qualcomm –, o que deverá levar a tecnologia diretamente para o "cérebro" das máquinas.

O Pluton atuará no lugar do Módulo de Plataforma Confiável (TPM, na sigla em inglês), o que significa que ele se tornará o novo responsável pelo armazenamento de chaves criptográficas e de autenticação.

Mas o chip também deve ser capaz de realizar tarefas que não fazem parte do módulo de segurança tradicional.

Segundo a Microsoft, o Pluton poderá detectar alterações no firmware (o software básico responsável pelo funcionamento do hardware) e se comunicar diretamente com os servidores da Microsoft para garantir a integridade do sistema e instalar atualizações por meio do Windows Update.

Dessa forma, a Microsoft planeja centralizar a atualização de firmware em PCs, que hoje é determinada pelo fabricante. Como o usuário nem sempre conhece o procedimento e não é possível fornecer instruções de uso geral, muitos sistemas ficam com o firmware desatualizado e inseguro.

• SAIBA MAIS: Software em chip de placa-mãe é adulterado para contaminar Windows após 'formatação'

Outra vantagem em relação ao TPM é a diminuição do risco de exposição de dados. Por estar integrado diretamente ao processador, será mais difícil interceptar a comunicação entre a CPU e o Pluton, como hoje acontece em alguns ataques envolvendo o TPM.

Tecnologia do Xbox e integração com processadores

Segundo a Microsoft, o Pluton foi inicialmente desenvolvido para garantir a segurança do console de videogame Xbox One, lançado em 2013.

A tecnologia foi incluída na plataforma em parceria com a AMD, que desenvolve a CPU com gráficos integrados do console.

Para evitar trapaças em jogos on-line e pirataria, consoles costumam ter uma série de recursos para detectar e bloquear modificações de software e de hardware.

Além do Xbox, o Pluton também já é utilizado no Azure Sphere, um conjunto de tecnologias para o desenvolvimento de dispositivos da "internet das coisas".

A fabricante de chips MediaTek, que não foi mencionada no anúncio, desenvolve processadores para essa tecnologia.

A Microsoft também já tem uma parceria com a Qualcomm. Mais reconhecida pela linha de processadores Snapdragon, que está presente em vários celulares Android topo de linha, a Qualcomm trabalhou com a Microsoft para desenvolver o SQ1, um chip que promete mais desempenho que os modelos de smartphones – ao custo de maior consumo elétrico – para viabilizar o uso do Windows 10 em notebooks com ARM.

O Surface Pro X da Microsoft foi lançado com essa CPU. Esse modelo não é comercializado oficialmente no Brasil.

• SAIBA MAIS: Microsoft oferece recompensa de US$ 100 mil para quem encontrar falhas em sua tecnologia de 'internet das coisas'

Segurança de hardware defasada

Não é novidade que a Microsoft tinha receios com a segurança do hardware em que seu sistema operacional é executado.

Em abril, o vazamento de uma apresentação preparada por um especialista da linha Surface explicou que a Microsoft não inclui a tecnologia Thunderbolt em seus produtos por motivos de segurança.

Segundo a apresentação, é possível ler toda a memória do computador por meio dessa porta e burlar medidas de proteção de dados, inclusive a criptografia.

Em maio de 2019, um mês após a apresentação vir a público, especialistas demonstraram um ataque exatamente como o previsto pela Microsoft, derrotando a criptografia do sistema pela porta Thunderbolt com modificações que podiam ser feitas em poucos minutos.

Chip T2, da Apple, fornece segurança para produtos das linhas MacBook, iMac e Mac Pro. — Foto: Sonic840/DeviantArt/Creative Commons/BY-NC-SA

O ataque, porém não funcionava em MacBooks, da Apple. A fabricante do iPhone desenvolveu um coprocessador de segurança especial para seus computadores, o T1.

O produto está hoje em sua segunda geração, o T2, e fornece auxílio em tarefas de processamento vídeo, além de ficar encarregado pelas funções de segurança do computador.

• SAIBA MAIS: MacBook da Apple vai desligar microfone quando usuário fechar a tampa

A disponibilidade do Thunderbolt é hoje restrita a modelos intermediários e avançados, mas ele deve ser adotado por todos os computadores como parte do USB 4.0.

Se os mesmos ataques contra o Thunderbolt fossem viáveis contra a nova versão do USB, o número de máquinas vulneráveis seria maior.

Embora a Miocrosoft não tenha mencionado nenhum cenário de específico para ilustrar a capacidade do Pluton, diversas funcionalidades do chip têm potencial para inibir os ataques contra o Thunderbolt.

O Pluton será capaz de emular um chip de TPM, que é um padrão da indústria e tem servido como módulo de segurança para computadores com Windows desde o início dos anos 2000.

Embora tenha recebido atualizações, a tecnologia nem sempre está presente em todos os sistemas com os mesmos recursos, já que vários fabricantes podem desenvolver esses módulos.

Em computadores montados por entusiastas, o TPM não costuma estar presente – o que levou a Intel e a AMD a adicionarem um TPM virtual (chamado de fTPM).

Em novembro de 2019, especialistas demonstraram falhas graves no fTPM da Intel e no TPM da fabricante STMicroelectronics. Embora a principal função do TPM seja proteger as chaves criptográficas, as vulnerabilidades permitiam roubar essas chaves em cerca de 20 minutos.

Tomando a iniciativa para desenvolver o Pluton, a Microsoft provavelmente busca unificar as funções de segurança do hardware e do sistema operacional, enquanto a compatibilidade com as funções básicas do TPM pode permitir que a tecnologia seja ao menos parcialmente compatível com outros sistemas, como o Linux.

Dúvidas sobre segurança, hackers e vírus? Envie para g1seguranca@globomail.com

------++-====-----------------------------------------------------------------------=================---------------------------------------------------------------------------------====-++------

Diretor da Microsoft recomenda que códigos de verificação em duas etapas sejam geradas por app em vez de SMS

=======.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____--------------______---------   -----------____---.=.=.=.= ====


Recurso de segurança é 'essencial', mas usuários e empresas devem adotar mecanismos que não dependam da rede de telefonia. Saiba como usar os apps autenticadores.xr  
===+===.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____-------------______---------   ----------____---.=.=.=.= +====

Por Altieres Rohr
É fundador de um site especializado na defesa contra ataques cibernéticos
19/11/2020 11h19 Atualizado há 3 horas
Postado em 19 de novembro de 2020 às 14h25m

  *.- Post.N. -\- 3.882 -.*  

Senhas geradas no celular são mais seguras que senhas recebidas pela rede, diz especialista. — Foto: Altieres Rohr/G1

O diretor de segurança de identidades da Microsoft, Alex Weinert, publicou um artigo recomendado a utilização de aplicativos autenticadores (que geram senhas temporárias) em vez de outros mecanismos de verificação em duas etapas, como SMS e chamadas de voz.

A verificação em duas etapas ou autenticação multifatorial (MFA ou 2FA, nas siglas em inglês) é um recurso de segurança em que o acesso a um serviço é protegido por mais de um elemento.

Normalmente, é utilizada uma senha e um código temporário, mas a tecnologia também pode empregar a biometria, cartões inteligentes e chaves USB.

Para o especialista da Microsoft, esse recurso de segurança é "essencial" e corta drasticamente o número de acessos não autorizados. Segundo ele, as invasões em contas com autenticação multifatorial correspondem a 0,1% do total de contas comprometidas.

Mas Weinert adverte que, se esse código temporário for recebido por SMS ou chamada de voz – como acontece em muitos serviços –, o usuário correrá mais perigo do que com outros mecanismos de autenticação secundária, inclusive quando o código é gerado por um app no celular.

Em um ataque hipotético, ambas as senhas (geradas no aparelho ou recebidas pela rede) podem ser obtidas por um criminoso que roubar o aparelho ou contaminá-lo com um software espião.

Contudo, apenas os códigos recebidos pela rede poderão ser interceptados por falhas de segurança na rede ou nos serviços das operadoras.

Em outras palavras, um invasor tem mais possibilidades para acessar esse código quando ele é transmitido pela rede.

Por essa razão, usuários devem preferir usar outros mecanismos quando eles estiverem disponíveis, e os prestadoras de serviço – que são o principal público do artigo – devem permitir o uso de outras modalidades de autenticação.

Weinert não recomenda desativar o recurso em nenhuma hipótese.

Como usar os apps autenticadores

Um aplicativo autenticador é usado para ler um código QR no momento da configuração da autenticação em dois fatores.

A partir desse código, o app gera senhas numéricas com base no horário configurado no telefone, atualizando essa senha periodicamente, da mesma forma que os "tokens" bancários. Por essa razão, é essencial que a data e a hora configurada no smartphone estejam corretas.

Para usar o app, você precisa visitar a página de configuração de cada serviço compatível (Google, Facebook, Outlook, Dropbox, entre outros) e procurar pela opção de gerar senha por código QR ou gerar senha em aplicativo no celular.

Como a senha é gerada no aplicativo, não é necessário aguardar o recebimento de códigos por SMS. Ao realizar o login, basta digitar a senha e o código gerado no app em seguida.

É preciso, no entanto, ter alguns cuidados.

O recebimento de códigos por SMS exige que você tenha mantenha o seu cadastro atualizado nos serviços para evitar que a senha seja enviada para outra pessoa que venha a adquirir uma linha que você abandonou.

Os aplicativos autenticadores não sofrem com esse problema, já que as senhas ficam atreladas ao seu aparelho e não ao seu número, mas não será possível acessar a conta se você perder a configuração do aplicativo autenticador.

Esse é um problema que não existe quando o código é recebido por SMS, já que basta ter acesso à linha para receber o torpedo.

Para não deixar você sem acesso à conta nessa situação, a maioria dos serviços disponibiliza uma lista de códigos predefinidos que devem ser impressos e guardados em segurança.

Esses códigos fixos poderão ser usados para reconfigurar a autenticação em duas etapas caso não seja possível gerar o código no aparelho (perda, roubo, defeitos, restauração de sistema etc.).

O aplicativo de autenticação da Microsoft possui uma função de backup para essas situações, se você ativá-lo.

O do Google, por sua vez, permite que você exporte as chaves para um novo aparelho – isso facilita a reconfiguração, mas não permite recuperar uma configuração perdida.

Se o seu aparelho apresentar um defeito repentinamente e você usa o Autenticador do Google, você precisará dos códigos impressos.

Baixe os apps autenticadores

Importante: os aplicativos funcionam usando um padrão de geração de senhas. Portanto, você pode usar o autenticador do Google para os serviços da Microsoft ou vice-versa, além de usar o mesmo app para todos os demais serviços compatíveis, como Facebook, Discord, Twitter e outros.

• Microsoft Authenticator: Android / iPhone
• Google Autenticador: Android / iPhone

Segurança violada

Weinert não cita nenhum caso específico em seu artigo, mas vários incidentes e violações já foram possibilitadas pela interceptação de códigos enviados por chamadas ou SMS. Confira três exemplos:

1. O envio de códigos de autenticação por chamadas de voz, aliado à falta de segurança nas caixas postais das operadoras de telefonia, permitiu a invasão das contas de Telegram de diversas autoridades em 2019.
2. A rede social Reddit foi vítima de invasão após hackers burlarem a autenticação de SMS.
3. Nos Estados Unidos, diversos proprietários de criptomoedas tiveram suas carteiras esvaziadas após criminosos conseguirem a cooperação de funcionários das operadoras para redirecionar as mensagens e obter os códigos de autorização. Em ao menos um caso, um investidor moveu uma ação contra a operadora.

Dúvidas sobre segurança, hackers e vírus? Envie para g1seguranca@globomail.com

------++-====-----------------------------------------------------------------------=================---------------------------------------------------------------------------------====-++------